Las entidades en Ucrania han sido atacadas como parte de una campa\u00f1a de phishing dise\u00f1ada para distribuir un troyano de acceso remoto llamado REMCOS RAT.<\/p>\n
“Los nombres de archivo usan palabras rusas relacionadas con el movimiento de tropas en Ucrania como se\u00f1uelo”, el investigador de Cisco Talos Guilherme Venere dicho<\/a> en un informe publicado la semana pasada. “El descargador de PowerShell contacta a los servidores geogr\u00e1ficos ubicados en Rusia y Alemania para descargar el archivo zip de la segunda etapa que contiene la puerta trasera REMCOS”.<\/p>\n La actividad se ha atribuido con una confianza moderada a un grupo de pirater\u00eda ruso conocido como Gamaredon, que tambi\u00e9n se rastrea bajo los apodos Aqua Blizzard, Armageddon, Blue OTSO, Bluealpha, Hive0051, Iron Tilden, primitivo oso, shuckworm, trident USSA, UAC-0010, UNC530 y invierno. <\/p>\n El actor de amenaza, evaluado como afiliado al Servicio Federal de Seguridad de Rusia (FSB), es conocido por su objetivo de organizaciones ucranianas por espionaje y robo de datos. Est\u00e1 operativo desde al menos 2013.<\/p>\n La \u00faltima campa\u00f1a se caracteriza por la distribuci\u00f3n de archivos de acceso directo de Windows (LNK) comprimido dentro de los archivos zip, disfraz\u00e1ndolos como documentos de Microsoft Office relacionados con la guerra en curso ruso-ucraniana para enga\u00f1ar a los destinatarios para que los abran. Se cree que estos archivos se env\u00edan a trav\u00e9s de correos electr\u00f3nicos de phishing.<\/p>\n Los enlaces a Gamaredon provienen del uso de dos m\u00e1quinas que se utilizaron para crear los archivos de acceso directo malicioso y que fueron previamente utilizado<\/a> por el actor de amenaza para fines similares.<\/p>\n Los archivos LNK vienen equipados con el c\u00f3digo PowerShell que es responsable de descargar y ejecutar el comando de carga de carga \u00fatil de la pr\u00f3xima etapa, as\u00ed como para obtener un archivo de se\u00f1uelo que se muestra a la v\u00edctima para mantener la artima\u00f1a.<\/p>\n La segunda etapa es otro archivo ZIP, que contiene una DLL maliciosa que se ejecutar\u00e1 a trav\u00e9s de una t\u00e9cnica denominada carga lateral de DLL. El DLL es un cargador que descifra y ejecuta la carga \u00fatil REMCOS final de los archivos cifrados presentes dentro del archivo.<\/p>\n La divulgaci\u00f3n se produce cuando Silent Push detall\u00f3 una campa\u00f1a de phishing que utiliza se\u00f1uelos del sitio web para recopilar informaci\u00f3n contra las personas rusas que simpatizan con Ucrania. Se cree que la actividad es obra de servicios de inteligencia rusos o un actor de amenaza alineado con Rusia.<\/p>\n La campa\u00f1a consta de cuatro grupos de phishing principales, que se hace pasar por la Agencia Central de Inteligencia de los Estados Unidos (CIA), el Cuerpo de Voluntarios de Rusia, Legion Liberty y Hochuzhit “Quiero vivir”, un l\u00ednea directa<\/a> por recibir apelaciones de miembros del servicio ruso en Ucrania para rendirse a las Fuerzas Armadas de Ucrania.<\/p>\n Se ha encontrado que las p\u00e1ginas de phishing est\u00e1n alojadas en un proveedor de alojamiento a prueba de balas, Nybula LLC, con los actores de amenaza que conf\u00edan en las formularios de Google y las respuestas por correo electr\u00f3nico para recopilar informaci\u00f3n personal, incluidas sus puntos de vista pol\u00edticos, malos h\u00e1bitos y aptitud f\u00edsica, de las v\u00edctimas.<\/p>\n “Todas las campa\u00f1as […] observado ha tenido rasgos similares y compartido un objetivo com\u00fan: recopilar informaci\u00f3n personal de v\u00edctimas de visitas al sitio “, Silent Push dicho<\/a>. “Estos honeypots de phishing son probablemente el trabajo de los servicios de inteligencia rusos o un actor de amenaza alineado con los intereses rusos”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Gamaredon-vinculado-a-Rusia-usa-senuelos-relacionados-con-la-tropa.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n